พบ Backdoor บน Cisco WAAS เสี่ยงถูกเข้าถึงอุปกรณ์โดยไม่ได้รับอนุญาต

Aaron Blair นักวิขัยด้านความมั่นคงปลอดภัยจาก RIoT Solutions ออกมาเปิดเผยถึง Backdoor ที่นักพัฒนา Cisco เผลอเหลือทิ้งไว้ใน Cisco Wide Area Application Services (Cisco WAAS) เสี่ยงถูกผู้ไม่ประสงค์ดีใช้เข้าถึงอุปกรณ์โดยไม่ได้รับอนุญาตได้

Backdoor ของนักพัฒนาถือว่าเป็นประเด็นที่ไม่รู้จักจบจักสิ้นของ Cisco โดยครั้งนี้นับว่าเป็นครั้งที่ 4 แล้วภายในรอบ 4 เดือนที่ผ่านมา Backdoor ดังกล่าวพบบนซอฟต์แวร์ Cisco Wide Area Application Services (Cisco WAAS) ที่รันบนอุปกรณ์สำหรับใช้บริหารจัดการทราฟฟิก WAN มีรหัส CVE-2018-0329 เป็น Backdoor ที่อยู่ในรูป SNMP Community String บนไฟล์คอนฟิกของ SNMP Daemon ที่ถูก Hardcode ไว้

Cisco ระบุใน Security Advisory ว่า แฮ็กเกอร์สามารถเจาะผ่านช่องโหว่นี้ได้โดยใช้ Community String ใน SNMP เวอร์ชัน 2c เพื่อพูดคุยกับ Cisco WAAS ส่งผลให้แฮ็กเกอร์สามารถอ่านข้อมูลที่เข้าถึงโดย SNMP ดังกล่าวได้ทั้งหมด ที่น่าตกใจคือ SNMP Community String นี้ถูกซ่อนไว้จากเจ้าของอุปกรณ์ ต่อให้เป็น Admin ก็ไม่ทราบว่าอยู่ที่ไหน ส่งผลให้การทำ Audit ปกติไม่สามารถตรวจสอบได้เช่นกัน

นอกจากนี้ Blair ยังค้นพบช่องโหว่ Privilege Escalation บน Cisco WAAS ซึ่งช่วยให้เขาสามารถยกระดับสิทธิ์จาก Admin ไปเป็น Root ของเครื่องได้ ด้วยช่องโหว่นี้เองทำให้ Blair ที่มีสิทธิ์เป็น Root ค้นพบ SNMP Community String ซ่อนอยู่ในไฟล์ /etc/snmp/snmpd.conf

Blair ได้แจ้งช่องโหว่ที่ค้นพบไปยัง Cisco เมื่อเดือนมีนาคมที่ผ่านมา ซึ่ง Cisco ก็ได้ออกแพตช์สำหรับอัปเดตเป็นที่เรียบร้อย สามารถดูรายละเอียดเพิ่มเติมได้ที่ https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180606-waas-snmp

ที่มา: https://www.bleepingcomputer.com/news/security/cisco-removes-backdoor-account-fourth-in-the-last-four-months/